FR3020469A1 - Procede et dispositif de controle d'integrite a double niveau de consolidation - Google Patents

Abstract

Il est proposé un procédé de contrôle d'intégrité de mesures acquises par un système (S) de navigation à partir de signaux de radionavigation émis par une pluralité de constellations (GNSS1, GNSS2) de satellites, le procédé étant caractérisé en ce qu'il comprend: un premier niveau de traitement (C1) consolidant les données des différentes voies de réception d'au moins deux constellations, et un second niveau de traitement (C2) détectant une panne globale d'au moins une des constellations, et invalidant les sorties consolidées par le premier niveau de traitement lorsqu'une panne globale est détectée.

Description

Procédé et dispositif de contrôle d'intégrité à double niveau de consolidation DOMAINE GENERAL La présente invention se rapporte au domaine du contrôle d'intégrité dans les systèmes de navigation. Elle concerne plus particulièrement un procédé de contrôle d'intégrité utilisant des mesures issues de signaux de constellations de satellites de radionavigation, et un dispositif adapté pour mettre en 10 oeuvre un tel procédé. ETAT DE L'ART Il est classique d'utiliser pour la navigation notamment d'aéronefs ou encore de navires des équipements hybrides INS/GNSS (de l'anglo- 15 saxon « Inertial Navigation System » et « Global Navigation Satellite System »). Un équipement inertiel, utilisant des mesures issues de capteurs inertiels pour calculer des informations de localisation, de vitesse et d'orientation, fournit des informations peu bruitées et précises à court 20 terme. Cependant, sur le long terme, la précision de localisation de cet équipement inertiel se dégrade (plus ou moins vite en fonction de la qualité des capteurs, accéléromètres ou gyroscopes par exemple, et des traitements réalisés). Si les informations provenant d'un système de radionavigation 25 satellitaire sont quant à elles très peu susceptibles de dériver sur te long terme, elles sont cependant souvent bruitées et d'une précision variable. Par ailleurs, les mesures inertielles sont toujours disponibles alors que les informations GNSS ne le sont pas et sont susceptibles d'être leurrées et brouillées. 30 Des systèmes de contrôle d'intégrité ayant pour but de détecter l'apparition de telles défaillances et d'exclure les satellites responsables afin de retrouver une solution de navigation ne contenant plus d'erreur non détectée, sont connus. De plus, un certain nombre d'applications exploitent aujourd'hui la possibilité de recevoir des signaux émanant de plusieurs constellations de satellites (GPS et GLONASS actuellement, bientôt GALILEO). Dans le cadre de telles applications particulières, il a été proposé des procédés prenant en compte des évènements correspondant à plusieurs pannes satellites simultanées d'une constellation de satellites (notamment dans les documents de l'art antérieur cités dans la bibliographie en fin de la présente description). Toutefois, ces procédés ne répondent pas aux besoins d'intégrité en cas de panne globale d'une constellation (c'est-à-dire, lorsque tous les satellites d'une constellation donnée sont simultanément défaillants tout en fournissant des signaux de radionavigation avec une position ou une vitesse incorrecte). PRESENTATION DE L'INVENTION L'invention vise à mettre en oeuvre un contrôle d'intégrité de mesures délivrées par plusieurs constellations de satellites, qui permette de détecter plusieurs pannes simultanées de satellites et de détecter une panne globale d'une des constellations, et qui fonctionne en présence d'un nombre réduit de satellites en vue. Il est donc proposé un procédé de contrôle d'intégrité de mesures acquises par un système de radionavigation à partir de signaux de radio émis par une pluralité de constellations de satellites, le procédé étant caractérisé en ce qu'il comprend: un premier niveau de traitement consolidant les mesures des différentes voies de réception de signaux provenant d'au moins deux constellations, puis un second niveau de traitement détectant une panne globale d'au moins une des constellations, et invalidant les sorties du premier niveau de traitement lorsqu'une telle panne globale est détectée.

Un procédé mis en oeuvre selon une telle architecture à deux niveaux est capable de détecter des pannes multiples et simultanées de satellite au sein d'une même constellation ainsi que la panne globale d'un système de radiolocalisation, tout en ne requérant qu'un nombre réduit de satellites en vue pour répondre à un besoin d'intégrité à 10-9 par heure de vol, dans le cadre d'une application multi-constellations. Une telle architecture permet notamment de détecter des évènements très rares, c'est à dire avec un taux d'apparition entre 10- 7/h et 10-9/h tels que : - certains cas rares de panne du GNSS comme une panne de mode commun, - des doubles défaillances satellites. Avec le procédé proposé, il suffit de disposer de 7 mesures issues de différents satellites en vue sur un ensemble de deux constellations pour que la consolidation de niveau 1 (premier niveau de traitement) soit capable de détecter une ou deux pannes satellites simultanées dont l'effet est une erreur ajoutée. Il suffit également de disposer de 4 satellites en vue par constellation pour que la consolidation de niveau 2 (deuxième niveau de traitement) soit capable de détecter la panne globale d'un système de 25 radiolocalisation. Le procédé selon l'invention est avantageusement complété par les caractéristiques suivantes, prises seules ou en une quelconque de leurs combinaisons techniquement possibles. 30 Le deuxième niveau de traitement (C2) peut comprendre les étapes selon lesquelles: on calcule au moins une valeur d'écart entre des solutions de navigations mono constellation calculées pour différentes constellations, on détermine, en fonction de la valeur d'écart calculée, une information de validité globale représentative de la présence ou non d'une panne globale sur l'une des constellations. La valeur d'écart peut être comparée avec un seuil prédéterminé, l'information de validité globale dépendant du résultat de cette comparaison.

La valeur d'écart est peut en outre être calculée comme une distance entre des vecteurs de données de navigation issus de différentes solutions de navigation de constellation. L'information de validité globale peut être positionnée à une valeur invalide si la valeur d'écart est supérieure au seuil prédéterminé.

L'information de validité globale peut également être positionnée à une valeur invalide si au moins un des vecteurs de données de navigation est déclaré invalide par le premier niveau de traitement. Le procédé peut également comprendre les étapes de : calcul d'une première distance de protection associée à la solution de navigation globale à partir d'une première probabilité de perte d'intégrité prédéterminée, calcul pour chaque solution de navigation de constellation d'une deuxième distance de protection à partir d'une deuxième probabilité de perte d'intégrité prédéterminée, - calcul d'une distance de protection de sortie, définie comme le maximum entre la première distance de protection et la plus grande des deuxièmes distances de protection. Les mesures acquises peuvent comprendre, pour chaque satellite, une pseudo-distance et une pseudo-vitesse, et chaque solution de - 5 navigation calculée comprendre une donnée de vitesse et une donnée de position estimées pour le système. Il est également proposé selon un deuxième aspect un dispositif de contrôle d'intégrité de mesures acquises à partir de signaux de radionavigation émis par une pluralité de constellations de satellites, le dispositif comprenant deux modules de traitement adaptés pour mettre en oeuvre les deux niveaux de traitement du procédé qui précède. Il est aussi proposé un système de navigation comprenant un récepteur configuré pour acquérir des mesures de signaux de radionavigation émis par une pluralité de constellations de satellites, et un dispositif le deuxième aspect pour contrôler l'intégrité des mesures acquises par le récepteur. Un produit programme d'ordinateur comprenant des instructions de code de programme pour l'exécution des étapes du procédé décrit, peut être exécuté par une unité de traitement de données, par exemple embarqué dans un système de radio navigation ou un équipement de navigation hybride inertie-GNSS. DESCRIPTION DES FIGURES D'autres caractéristiques, buts et avantages de l'invention ressortiront de la description qui suit, qui est purement illustrative et non limitative, et qui doit être lue en regard des dessins annexés sur lesquels : La figure 1 représente des flux de données dans un système de navigation comprenant un dispositif de contrôle d'intégrité selon un mode de réalisation de l'invention. La figure 2 représente les étapes d'un procédé de contrôle d'intégrité selon un mode de réalisation de l'invention. Les figures 3 et 4 représentent les sous-étapes respectives de deux étapes du procédé illustré sur la figure 2.

Sur l'ensemble des figures, les éléments similaires portent des références identiques. DESCRIPTION DETAILLEE DE L'INVENTION En référence à la figure 1, un système S de navigation comprend un récepteur R de signaux de radionavigation, un premier module Cl de consolidation, un deuxième module C2 de consolidation, et un module de sortie CS. Le système S est destiné à être embarqué sur un porteur (non-illustré), par exemple un aéronef ou un navire.

Le récepteur R est configuré pour acquérir des mesures de radionavigation à partir des signaux radiofréquence émis par au moins deux constellations de satellites GNSS (par exemple GPS, GLONAS, GALILEO, etc.), ici référencées GNSS1 et GNSS2. Chaque constellation GNSS1, GNSS2 comprend au moins deux satellites de radionavigation fonctionnant de concert. Les premier et deuxième modules de consolidation Cl et C2 sont chacun raccordé au récepteur R et reçoivent de celui-ci un même ensemble de mesures acquises. Les premier et deuxième modules de consolidation Cl et C2 forment ensemble un dispositif D de contrôle d'intégrité de cet ensemble de mesures acquises. Le premier module Cl de consolidation est configuré pour mettre en oeuvre, sur l'ensemble des mesures de navigations fournies par le récepteur R, un ou plusieurs algorithmes de type RAIM multi- constellation multi-pannes (- Receiver Autonomous Integrity Monitoring » en anglais). Des exemples de tels algorithmes sont décrits dans les documents de l'art antérieur cités dans la bibliographie en fin de la présente description ; ils ne sont donc pas davantage détaillés. Ces algorithmes RAIM traitent des mesures de type pseudodistance, pseudo-vitesse et/ou delta-range antenne-satellites fournies par le récepteur R, prises seules ou groupées.

Le premier module Cl de consolidation est configuré pour détecter l'incohérence d'une ou deux de ces mesures par rapport aux autres mesures disponibles. Il peut, sous certaines conditions, identifier et exclure des calculs les mesures provenant du ou des satellites responsables de ces incohérences. Le premier module Cl permet de délivrer des données de radiolocalisation géographique intègres jusqu'à 10-9 /fh s'il n'y a pas de panne globale constellation tant qu'il dispose d'un nombre suffisant de pseudo mesures et d'une répartition spatiale adéquate des satellites. Par contre dans le cas d'une panne constellation, cet algorithme ne délivre pas toujours des données intègres, ce qui est aussi le cas lorsqu'il y a plus de deux pannes satellites simultanées. Ce module élabore pour cela des indicateurs de validité des mesures non exclues issues de chaque GNSS.

Le deuxième module C2 de consolidation comprend une pluralité d'unités Ul, U2 de consolidation et une unité de test T. Chaque unité de consolidation reçoit également les informations élaborées par le premier module Cl de consolidation. Chaque unité de consolidation Ul, U2 élabore une solution de navigation en n'exploitant que des mesures associées aux signaux satellites d'une seule constellation, acquises par le récepteur R et non exclues par le module Cl. Dans le mode de réalisation illustré, l'unité de consolidation U1 est associée à la constellation GNSS1, et l'unité de consolidation U2 est associée à la constellation GNSS2.

L'unité de test T est raccordée en sortie de chaque unité de consolidation Ul, U2. L'unité de test T est configurée pour mettre en oeuvre un test visant à détecter la présence éventuelle d'une panne globale de l'une des constellations GNSS1 et GNSS2, à partir des solutions de navigations élaborées par les unités de consolidation Ul, U2.

Le module de sortie CS est raccordé en sortie du premier module Cl de consolidation, et en sortie de l'unité de test du deuxième module C2 de consolidation ; ce module de sortie CS est configuré pour élaborer une solution de navigation robuste à une panne globale de constellation et au moins deux pannes simultanées de satellites à partir de données élaborées par le traitement « Receiver Autonomous Integrity Monitoring » (RAIM) du premier module Cl de consolidation et des données émises par l'unité de test T du deuxième module C2 de consolidation. Les étapes d'un procédé de contrôle d'intégrité mis en oeuvre dans le système S de navigation sont illustrées sur la figure 2. Dans une étape ACQ d'acquisition, le récepteur R acquiert un ensemble de mesures de navigation, à partir de signaux de radionavigation émis par les constellations de satellites GNSS1 et GNSS2. Les mesures de navigation peuvent typiquement être des pseudo- vitesses, des pseudo-distances, des « delta-ranges », ou bien une combinaison de ces types de mesures. Dans le mode de réalisation illustré et détaillé ci-après, est considéré un ensemble de mesures acquises comprenant, pour chaque constellation, au moins une mesure de pseudo-distance et au moins une mesure de pseudo-vitesse ou de delta range élaborées par le récepteur R (par exemple, une mesure de pseudo-distance et une mesure de pseudo-vitesse pour chaque satellite de chaque constellation). Traiter des pseudo-distances en plus des pseudo-vitesses ou delta-ranges peut en effet s'avérer avantageux pour calculer le domaine possible d'erreur de vitesse ou de déplacement géographique, car il est nécessaire pour cela de tenir compte des erreurs de direction géographique antenne satellite et donc de l'erreur de position géographique. Par exemple une erreur de position horizontale de 300 mètres au sol génère une erreur équivalente à environ 6 cm/s sur la pseudo vitesse dans le pire cas d'un satellite GPS au zénith. En conséquence, un algorithme de type RAIM en pseudo-distance peut être implanté en plus de l'algorithme équivalent en pseudo-vitesse ou delta-range si l'exigence d'intégrité porte sur la vitesse. Deux niveaux de consolidation des mesures acquises sont mis en oeuvre dans le système S de navigation : un premier niveau de consolidation mis en oeuvre par le premier module Cl de consolidation et un deuxième niveau de consolidation mis en oeuvre par le deuxième module C2 de consolidation. Ces deux niveaux sont appelés respectivement « niveau 1 » et « niveau 2 » dans la suite.

Premier niveau de consolidation Le premier module Cl de consolidation détecte et/ou identifie parmi les mesures acquises les mesures issues de satellites défaillants, au moyen du ou des algorithmes RAIM décrits précédemment, dans l'étape référencée DET1. Dans le cas d'une panne constellation ou s'il y a plus de deux pannes satellites simultanées, l'algorithme mis en oeuvre dans ce premier module Cl de consolidation peut fournir de fausses indications de satellites défaillants ou ne pas détecter les satellites défaillants. Selon le cas, l'algorithme mise en oeuvre au cours de l'étape DET1 exploite les mesures de pseudo-distance et de pseudo-vitesse ou delta range. Cet algorithme est adapté pour détecter l'incohérence d'au plus deux mesures parmi l'ensemble de mesures de même type. Il peut, sous certaines conditions, identifier et exclure le ou les satellites responsables de ces incohérences. L'étape DET1 de détection peut également comprendre l'évaluation d'une erreur maximale probable tenant compte des cas de non détection sans panne et en présence de panne simple ou double. Les pannes prises en compte sont celles dont l'effet est un biais ajouté à la mesure obtenue en l'absence de panne. Le premier module Cl de consolidation élabore ensuite dans l'étape référencée CALC1 une solution de navigation globale à partir des mesures disponibles pour la localisation, une fois exclues les mesures issues de satellites identifiés comme défaillants par l'étape d'identification DET1. Cette solution de navigation globale est obtenue en exploitant les mesures acquises par le récepteur R qui proviennent des satellites des différentes constellations GNSS1 et GNSS2 disponibles pour la localisation, c'est-à-dire pour l'évaluation de la position et éventuellement de la vitesse géographique de du récepteur R. La solution de navigation globale comprend typiquement au moins une donnée de position géographique et au moins une donnée de vitesse 10 géographique estimée du récepteur R et donc du porteur sur lequel le système S est embarqué. Chaque donnée de la solution de radionavigation globale peut être de dimension 1 (par exemple, l'altitude du porteur, la vitesse ou bien le déplacement vertical du porteur), ou bien de dimension supérieure à 1 15 (comme la position horizontale, la vitesse horizontale ou le déplacement horizontal géographique du porteur). Le premier module Cl de consolidation peut également calculer au cours de l'étape référencée PROTG, pour chaque donnée faisant partie de la solution de navigation globale élaborée, une distance ou un 20 rayon de protection hors panne globale. Cette valeur correspond au domaine possible de la donnée s'il n'y a pas de panne globale constellation pour un taux de perte d'intégrité alloué préalablement. En d'autres termes, l'algorithme calcule le domaine possible autour de la position ou de la vitesse géographique élaborée à partir des 25 mesures satellitaires non exclues. La perte d'intégrité correspond à une valeur de navigation (position ou vitesse géographique) dont le domaine possible est plus grand que le domaine autorisé indiqué à l'équipement, ou dont le domaine possible n'est pas calculable. Le domaine possible est calculé en fonction du taux de perte d'intégrité à ne pas dépasser 30 appelé également besoin d'intégrité.

Par ailleurs, dans une étape VALIDC, le premier module Cl produit des données de validité identifiant les satellites détectés comme défaillants parmi les mesures fournies ainsi que les constellations auquel ils appartiennent. Par exemple, les données de validité comprennent, pour chaque mesure disponible pour la navigation : - l'identifiant du satellite qui émet le signal mesuré, nommé PRN ou Pseudo-Random Noise» en anglais en référence aux codes pseudo aléatoires uniques qui modulent le signal émis par chaque satellite GPS - l'identifiant de la constellation associée (GPS, GAULE°, etc.) - une information de validité qui indique la défaillance ou te bon fonctionnement de ce satellite résultant du traitement RAIM ainsi que d'autre éventuels tests.

Deuxième niveau de consolidation Le deuxième niveau de consolidation C2 réalise sur les mesures associées à chacune des constellations GNSS1 et GNSS2 des opérations de type - comparaison à un seuil de l'écart entre données similaires issues de constellations différentes Ce niveau de consolidation a pour but de détecter une éventuelle incohérence entre constellations et donc de détecter une panne globale de constellation. Dans une étape de classement SPLT, les mesures acquises au cours de l'étape d'acquisition sont réparties en plusieurs ensembles de mesures, chaque ensemble comprend les mesures disponibles pour la navigation émanant d'une constellation. Chaque unité de consolidation Ul, U2 reçoit en entrée un ensemble de mesures de navigation issues d'une constellation respective GNSS1, GNSS2, ainsi que l'information de validité des satellites calculée au cours de l'étape VALIDC et mise en oeuvre par le premier module Cl de consolidation.

L'unité U1 reçoit ainsi l'ensemble des mesures de navigation issues de la constellation GNSS1 ainsi que les données de validité associées à ces mesures, notamment les informations de validité associées à ces mesures, et l'unité U2 reçoit l'ensemble des mesures de navigation issues de la constellation GNSS2 ainsi que les données de validité associées à ces mesures, notamment les informations de validité associées à ces mesures. Dans une étape de calcul référencée CALC2, chaque unité de consolidation U1, U2 élabore une solution de navigation respective à partir de certaines mesures contenues dans l'ensemble de mesures disponibles pour la navigation correspondant, et des informations de validité des satellites correspondante. L'unité U1 élabore une solution de navigation pour la constellation GNSS1, et l'unité U2 élabore une solution de navigation pour la constellation GNSS2.

Dans la suite, on appelle les solutions de navigations produites par les unités U1 et U2 des solutions de navigation mono-constellation », ou « de constellation ». Plus précisément, au cours de cette étape de calcul CALC2, chaque unité de consolidation U1, U2 analyse l'information de validité des satellites, et constitue un sous-ensemble de mesures disponibles pour la navigation par exclusion de l'ensemble de mesures que l'unité de consolidation prend en entrée, les mesures issues des satellites marqués comme défaillant dans l'information de validité. Ne sont alors prises en compte, pour l'élaboration de chaque solution de navigation mono constellation, que les mesures contenues dans le sous-ensemble constitué, ne contenant que des mesures non détectées comme défaillantes par le premier niveau de consolidation. Sont donc produites par les unités de consolidation U1, U2 des solutions de navigations de constellation qui sont traitées par l'unité de 30 test T. Chacune de ces solutions de navigation mono constellation est protégée de la présence de jusqu'à deux pannes simultanées sur L'ensemble des constellations. De façon similaire à l'étape CALC1, mise en oeuvre dans le premier module Cl de consolidation, chaque solution de navigation mono 5 constellation peut être élaborée au cours de l'étape CALC2 au moyen d'un algorithme de type Bancroft, chaque solution de navigation mono constellation comprenant des données de navigation représentatives de la position et de la vitesse du porteur de la centrale, en utilisant les pseudo-distances et pseudo-vitesses issues spécifiquement de ta 10 constellation correspondante. Chaque donnée de navigation de constellation peut être de dimension 1 (par exemple, l'altitude du porteur, ou bien la vitesse verticale du porteur), ou bien de dimension supérieure à 1 (typiquement la position horizontale ou la vitesse horizontale du porteur). 15 Dans une étape référencée TEST, l'unité de test met en oeuvre un test des solutions de navigation mono constellation élaborées par les unités Ul, U2, au moyen des trois sous-étapes suivantes représentées sur la figure 3. Dans une sous-étape référencée INC, une mesure d'écart est 20 calculée par l'unité de test T à partir des solutions de navigation mono constellation. Cette mesure d'écart est sensible à la présence d'incohérences entre des données de même type, contenues dans tes différentes solutions de navigation de constellation. Dans une sous-étape COMP, La mesure d'écart est ensuite 25 comparée à un seuil S prédéterminé. La valeur de ce seuil S dépend de la probabilité de fausse alarme (détection d'incohérence à tort) allouée au deuxième module de consolidation. Dans une sous-étape VALIDG, l'unité de test T détermine ensuite une information de validité globale pour l'ensemble de toutes les 30 mesures acquises. La valeur de cette information de validité globale dépend du résultat de ces comparaisons, et signale ou non la présence d'une panne globale d'une des constellations. En cas de détection de panne de constellation, la consolidation de niveau 2 mise en oeuvre par le module C2 permet d'invalider la solution de navigation globale en sortie de la consolidation du premier niveau. Pourront dès Lors être obtenues des données de sortie intègres, aussi bien dans le cas de deux pannes simultanées satellites (intégrité obtenue par le niveau 1), qu'en cas de panne globale de constellation (intégrité obtenue par le niveau 2 déclenchant une invalidation des sorties du niveau 1). L'étape TEST peut être mise en oeuvre pour différents types de données de navigation. Chaque information de validité (issues des deux modules de consolidation Cl et C2) peut par exemple être un booléen prenant deux valeurs : une valeur OK qui indique un état valide, et une valeur KO, qui indique un état non valide. Il est possible par exemple d'utiliser, pour une donnée de localisation géographique V à une dimension (typiquement l'altitude ou la vitesse verticale), dans une architecture avec deux constellations GNSS le test suivant: SI (la validité de la donnée V issue de la navigation mono constellation GNSS1 notée V1 est KO) OU (la validité de la donnée V issue de la navigation mono constellation GNSS2 notée V2 est KO) OU abs(V1-V2) > S ALORS Validité globale = KO SINON Validité globale = OK FIN SI Dans l'exemple de test qui précède, abs(V1-V2) désigne la valeur absolue de la différence entre la donnée V1 et la donnée V2, toutes deux de dimension égale à 1 ; l'information de validité globale est positionnée à la valeur KO (invalide) si cette valeur absolue est supérieure au seuil S prédéterminé ou dès qu'une information de validité de constellation est de valeur invalide. Pour une donnée « V » à deux dimensions (typiquement la position horizontale ou la vitesse horizontale), pour une architecture avec deux constellations GNSS le test suivant : SI (la validité de la donnée V issue de la navigation mono constellation GNSS1 notée [V11, V12] est KO) OU (la validité de la donnée V issue de la navigation mono constellation GNSS2 notée [V21, V22] est KO) ou MI -V21)21-([712 --Vn)2 >s ALORS validité globale = KO ( car on a détecté une incohérence entre constellation) SINON validité globale = OK FIN SI Les tests qui précèdent peuvent être généralisés pour le traitement d'une donnée de dimension N dont le type est présent dans chaque solution de navigation de constellation. La valeur d'incohérence 25 est alors une distance (cartésienne par exemple) entre des vecteurs, chaque vecteur étant formé par la donnée de dimension N issue d'une solution de navigation de constellation respective. Le second niveau de consolidation comprend en outre optionnellement une étape PROTC de calcul, pour chaque solution de 30 navigation mono constellation, d'une deuxième distance de protection 15 20 et/ou un rayon de protection dite mono constellation en fonction de la probabilité de perte d'intégrité mono constellation allouée. L'impossibilité de calculer ces valeurs de protection, qui apparaît par exemple si seulement 4 mesures satellites sont disponibles pour la navigation mono constellation, équivaut à une valeur de protection infinie. Elaboration des données de sortie Dans l'étape OUT du module de sortie CS comme indiqué dans la 10 figure 2, sont élaborées des données de sortie à partir des données disponibles pour la navigation émanant des modules de consolidation Cl et C2. L'étape OUT peut comprendre les sous-étapes suivantes représentées dans la figure 4. 15 Dans une sous-étape VALIDS, le module de sortie CS calcule une information de validité de sortie à partir de l'information de validité globale elle-même issue des informations de validité mono constellation, L'information de validité de sortie indique la valeur valide si et seulement si l'information de validité globale indique la valeur valide de 20 même que chaque information de validité des mesures utilisées pour le calcul de la donnée de sortie . Ce calcul est illustré par le pseudo langage suivant : SI bon fonctionnement indiqué de tous les satellites associés aux mesures utilisées pour le calcul de la donnée de navigation multi constellation fournie par le premier niveau de consolidation ET SI Validité globale élaborée par le deuxième niveau de consolidation = OK ALORS Validité donnée de sortie = OK SINON 25 30 Validité donnée de sortie = KO FIN SI Dans une étape CALCS, le module de sortie CS délivre par ailleurs une solution de navigation de sortie, qui est la solution de navigation globale élaborée dans le premier niveau de consolidation. Dans l'exemple présenté précédemment, les données de position et de vitesse (horizontale et verticale) en sortie sont donc égales aux positions et vitesse (horizontale et verticale) calculées par le niveau 1 (RAIM multi- constellations multi-pannes). Dans une étape PROTS, le module de sortie CS calcule une distance de protection de sortie, définie comme le maximum entre la première distance de protection et la plus grande des deuxièmes distances de protection, respectivement calculées par les premier et deuxième niveaux de consolidation. Les distances et rayons de protection sont calculés à partir des distances et rayons de protection fournis par les deux niveaux de consolidations. On prendra les formules suivantes : Distance de protection de sortie = max(distance de protection niveau 1, distances de protection niveau 2) Rayon de protection globale = max(rayon de protection niveau 1, rayons de protection niveau 2) Etude des cas de pannes à couvrir pour répondre à un besoin d'intégrité 25 à 10-9 par heure de vol Pour assurer un taux de perte d'intégrité inférieur ou égal à 10-9 par heure de vol, il suffit de détecter dans le système S, les cas de pannes suivants avec une efficacité suffisante, c'est-à-dire une probabilité de non détection suffisamment faible dans les cas de panne 30 suivants : une panne satellite; deux pannes satellites appartenant à la même constellation (cas 1) ; deux pannes satellites appartenant à des constellations différentes (cas 2) ; une panne d'une des deux constellations ou système de radiolocalisation (cas 3). En effet les cas de panne restants représentent un taux d'apparition inférieur à 10-9/h d'après les résultats d'analyse de défaillance du système GPS, voir document 7 en référence, et correspondant aux lignes hachurées dans te tableau - taux de pannes du système GPS par catégories ». On pose les hypothèses suivantes : La durée moyenne de vol est de 1 heure. Soit H_cons_FF la condition de fonctionnement consistant à avoir les deux constellations intègres (- Fault Free »). Soit H_cons_Fault la condition de fonctionnement consistant à avoir au moins une des deux constellations en panne. Le taux d'occurence de cette condition est égal à 21 0-8 par heure (d'après le document de Lee Y. C., et M. P. McLaughlin, intitulé "Feasibility Analysis of RAIM to Provide LPV-200 Approaches with Future GPS", ION GNSS 2007) On pose: Pint = Pint_H_cons_FF + Pint_H_cons_Fault Avec: Pint: probabilité de perte d'intégrité globale. Pint_H_cons_FF: taux de perte d'intégrité sous condition « H_cons_FF (pas de panne constellation). Ce taux est le résultat des non détections de défaillances satellites par le premier niveau de consolidation.

Pint_H_cons_Fault: taux de perte d'intégrité sous condition H_cons_Fault (une panne de constellation). Ce taux est le résultat des non détections de défaillance d'un système par le deuxième niveau de consolidation.

Une allocation possible pour que Pint soit inférieur ou égal à 10- 9/h est : Pint_niveau1= Pint_ H_cons_FF =0.5*Pint = 0.5*10-9/h Pint_niveau2= Pint_ H_cons_Fault =0.5*Pint = 0.510-9/h Total alloué = Pint=10-9/h Avec : Pint_niveaut probabilité de perte d'intégrité allouée aux non détections par la consolidation de premier niveau. Pint_niveau2: probabilité de perte d'intégrité allouée aux non détections par la consolidation de deuxième niveau. Le taux de fausse alarme des tests de consolidation désiré est choisi dans la suite pour exemple à 10-5 par heure de vol. Il représente te taux d'indisponibilité de données sûres ajouté par les tests de consolidation.

On a, en négligeant les cas à double fausse alarme : Pfa = Pfa_niveau1 + Pfa_niveau2 Avec : - Pfa_niveau1 : taux de fausse alarme par ta consolidation de premier niveau. - Pfa_niveau2 : taux de fausse alarme par la consolidation de deuxième niveau. Une allocation possible est : Pfa_niveau1 = 0.510-5 /h Pfa_niveau2 = 0.5*10-5/h Total alloué à Pfa = 10-5/h Pour définir les valeurs des paramètres utilisés par le RAIM dans le premier module Cl de consolidation, les hypothèses suivantes sont faites: - les disponibilités des deux constellations sont indépendantes (du type GPS et GALILEO). ces deux constellations présentent des défaillances indépendantes, et les mêmes risques de perte d'intégrité. Le nombre moyen de satellites en vue par constellation est de 10. Avec ces hypothèses et d'après les résultats du FMEA des satellites GPS 10 et du système qui les met en oeuvre on obtient les probabilités par heure de vol suivantes : probabilité par heure de vol d'avoir une panne satellite 10-5 /h par satellite probabilité moyenne par heure de vol d'avoir une panne satellite parmi les 1010-5 = 10-4/h satellites appartenant à une seule constellation probabilité moyenne par heure de vol (10*9/2)10-510-5 = 4.5*10-9/h d'avoir deux pannes satellite parmi les satellites appartenant à une constellation , jerorfe, 4` er- l'er Ir le le rire : 4r r e r dOr - , - probabilité moyenne par heure de vol d'avoir une panne satellite parmi les 20*10- = 2*10-/h satellites appartenant à deux constellations probabilité moyenne par heure de vol (2019/2)10-5'10-5 = 1.910-8/h d'avoir deux pannes satellite parmi tes satellites appartenant à deux constellations nereir,reerrii.',,G,e,': r I l . Il or; ,,, .ge.:+4;:" probabilité par heure de vol d'avoir une panne constellation 210- /h 41,fie Irr.-4 e I . e4 - 4 er 0; r 71 0 eV r Ir. 4 -gr - or A Les lignes grisées du tableau indiquent les conditions exceptionnellement rares qui peuvent être négligées pour l'évaluation de l'intégrité.

Taux de pannes du système GPS par catégories Comme exposé précédemment, le premier module Cl de consolidation selon un mode de réalisation de l'invention est un RAIM de type multi-constellation rnulti-panne adapté pour détecter jusqu'à deux pannes simultanées de satellite. On peut trouver des modes de réalisations connus de ce type de RAIM dans chacun des documents de l'art antérieur cités dans La bibliographie en fin de la présente description. Le tableau suivant résume la capacité du système S à deux niveaux de consolidation à protéger les sorties de l'effet des pannes, si le premier module Cl de protection est capable de détecter deux pannes satellites simultanées: NIVEAU 1 NIVEAU 2 Architecture globale RAIM Multi- Test Architecture constellation multi-panne constellation à deux niveaux Cas Deux pannes satellites, pour deux satellites appartenant à la même constellation protège Sans objet protège 1 Cas Deux pannes satellites, pour deux satellites appartenant à protège Sans objet protège 2 des constellations différentes Cas 3 panne globale d'une Ne protège protège protège constellation pas Dans le cas de panne n°1, deux pannes satellites appartenant à la même constellation surviennent. Le RAIM utilisé dans la consolidation de niveau 1 alors détecte efficacement les satellites en panne. Le test de 5 constellation mise en oeuvre dans la consolidation de niveau 2 ne prend pas en compte ces deux satellites pour la constellation considérée. Le test de constellation indique que les deux constellations sont intègres. Dans le cas de panne n°2, deux pannes satellites surviennent, ces satellites appartenant à des constellations différentes. Le RAIM utilisé 10 dans la consolidation de niveau 1 détecte efficacement les satellites en panne. Le test de constellation mis en oeuvre dans la consolidation de niveau 2 ne prend pas en compte ces deux satellites dans chacune des constellations considérées. Le test de constellation indique que les deux constellations sont intègres. 15 Dans le cas de panne n°3, survient une panne globale d'une constellation. Le RAIM utilisé dans la consolidation de niveau 1 ne protège alors pas car on fait l'hypothèse qu'une panne constellation est un mode commun affectant simultanément plusieurs satellites. Cependant, le test de constellation mis en oeuvre dans la consolidation 20 de niveau 2 détecte la panne constellation. Ce tableau montre donc que même si le RAIM utilisé n'est pas capable de détecter des cas avec plus de deux pannes satellites simultanées, le système S global est robuste à une panne globale de constellation. 25 Il convient de noter qu'un système S comprenant un premier module de consolidation de type RAIM multi-constellation mono-panne, c'est à dire adapté pour ne détecter qu'une seule panne satellite, est un mode de réalisation à exclure ; un tel algorithme présente en effet des insuffisances pour répondre aux besoins d'intégrités posés, comme démontré ci-dessous. Dans le cas de deux pannes simultanées de satellite, on fait l'hypothèse conservative que ce RAIM ne détecte aucune des deux pannes. Le tableau suivant résume la capacité du système S à deux niveaux de protection, si le premier module Cl de protection ne peut détecter qu'une seule panne : NIVEAU 1 : RAIM Multi- constellation Mono-panne NIVEAU 2 : Architecture globale à deux niveaux Test constellation Cas Deux pannes satellites, Ne protège pas protège protège 1 pour deux satellites appartenant à la même constellation Cas Deux pannes satellites, Ne protège pas Ne protège pas Ne protège pas 2 pour deux satellites appartenant à des constellations différentes Cas panne globale d'une Ne protège pas protège protège 3 constellation Dans le cas 1 (deux pannes satellites, pour deux satellites appartenant à la même constellation), le RAIM du niveau 1 ne protège pas ; une des deux constellations est intègre, et le test de constellation du niveau 2 va cependant bien détecter une incohérence de constellation, incohérence due en fait à deux pannes simultanées de satellite. Dans le cas 2 (deux pannes satellites, pour deux satellites appartenant à des constellations différentes), le RAIM utilisé au niveau 1 ne protège pas. Les deux constellations ne sont pas intègres et le test de constellation peut ne pas détecter une incohérence de constellation. En effet, de manière conservative, on fait l'hypothèse que le satellite en panne sur la première constellation a le même effet que le satellite en panne sur la deuxième constellation, on est donc dans un cas de mode commun non détectable. Dans le cas 3 (panne globale d'une constellation), le RAIM utilisé au niveau 1 ne protège pas car on fait l'hypothèse qu'une panne constellation est un mode commun affectant simultanément plusieurs satellites. Le test de constellation va détecter une incohérence de constellation. Le tableau ci-dessus montre donc qu'un RAIM n'étant capable de détecter qu'une seule panne de satellite parmi un ensemble de mesures acquises est insuffisant pour rendre le test de constellation robuste à deux pannes simultanées de satellite dans le système S. Exemple de dimensionnement du système S à deux niveaux de consolidation Les paramètres d'un mode de réalisation particulier du système S proposé vont maintenant être détaillés. Le premier module Cl de consolidation comprend un RAIM de type multi-constellation multi-panne adapté pour détecter deux pannes simultanées de satellite mais pas pour détecter une panne constellation. Les paramètres d'entrée alloués au premier module Cl de consolidation pour élaborer la formule de calcul de distance ou du rayon de protection correspondante sont les suivants avec les valeurs suivantes indiquées à titre d'exemple : Pint_niveau 1 = 0.510-9/h Pfa_niveaul = 0.5*10-5/h Les paramètres associés au premier module Cl de consolidation pour calculer la distance ou le rayon de protection correspondant sont les suivants : paramètre justification 6cons niveau I Ecart-type de l'erreur de la donnée consolidée par la consolidation de niveaul (RAIM bi-panne) valable jusqu'à Pint_niveaul= 0.5*10- 9/h (*) sous l'hypothèse sans panne de constellation _ Distance de Distance de protection de l'erreur de la donnée consolidée par la protection de niveau 1 consolidation de niveaul (RAIM bi-panne) valable jusqu'à Pint_niveaul= 0.510-9/h (*) sous l'hypothèse sans panne de constellation ... , . ---^-"1 r, (*) La probabilité d'avoir 3 pannes satellites en en ree au KAIM i-constellation bi-panne est de 1.110-12 par heure de vol ; hors panne constellation, cet écart-type est donc valable jusqu'à (au moins) 10-9 par heure de vol. La formule de calcul de la distance de protection est : -12.erfc-1 Distance de protection de niveau 1 = (Pint_niveau 1)e conS = 6.22* cins-tuve'-' --,- erfc(x) = /1 Je 2 di Avec Les paramètres d'entrée alloués au deuxième module C2 de consolidation sont les suivants : Pint_niveau 2 = 0.510-9/h Pfa_niveau2 = 0.5*10-5/h Sont également définis les paramètres suivants : paramètre Cr 1 _niveau 2 (3. 2 _ niveau 2 Ecart-type de l'erreur de la donnée GNSS1 en sortie du calcul de la solution GNSS1 pour la consolidation de niveau 2 Ecart-type de l'erreur de la donnée GNSS2 en sortie du calcul de la solution GNSS2 pour la consolidation de niveau 2 La formule de calcul de la distance ou du rayon de protection tient compte du niveau d'intégrité désiré pour la fonction, de son allocation entre les diverses combinaisons de panne, de la valeur du seuil S utilisée dans le test de validité. La valeur du seuil S dépend de la probabilité de fausse alarme « Pfa_niveau2 ». Dans le cas d'une architecture à deux constellations, une allocation des risques de perte d'intégrité du niveau 2 peut être la suivante pour un niveau de risque de perte d'intégrité de Pint_niveau2 hors pannes des équipements de radionavigation et de calculs de consolidation : Pint_globale niveau 2 Pint_niveau2 0.51 0-9/h Pint_HOO 0.99* Pint_niveau2 .'0.5*1 0-9/h Pint_H10 0.005 Pint_niveau2 .0.2*10-1//h Pint_HO1 0.005 Pint_niveau2 .0.2*10-12/h Avec - - Pint_globale niveau 2 : taux moyen de perte d'intégrité global à allouer pour le niveau 2 de consolidation Pint_HOO : taux moyen de perte d'intégrité dans les cas sans panne de ta constellation 1 ni de la constellation 2 - Pint_H10 : taux moyen de perte d'intégrité dans le cas d'une panne constellation 1 et sans panne de la constellation 2 - Pint_HO1 : taux moyen de perte d'intégrité dans le cas sans panne constellation 1 et avec une panne de la constellation 2 Si on pose en outre : P_panne_constellation1 : taux moyen d'apparition d'une panne constellation par heure de vol ( = 210-8/h ) - P_panne_constellation2 : taux moyen d'apparition d'une panne constellation par heure de vol ( = 2*10-8/h) vient : Avec - Pmd_H10 : probabilité de détection manquée d'une panne de la constellation 1 et sans panne de la constellation 2.

Pmd_H01 : probabilité de détection manquée d'une panne de la constellation 2 et sans panne de la constellation 1. On va estimer la distance de protection de la variable V issue de la constellation 1 DprotV1 » associée à la consolidation de niveau 2, et la distance de protection de la variable V issue de la constellation 2 DprotV2 » associée à la consolidation de niveau 2. la distance de protection associée à la consolidation de niveau 2 est majorée par : Dprot globale niveau 2 <= max(DprotV1 , DprotV2) Cette distance de protection majore les sorties de la consolidation de niveau 1 dans le cas d'une panne constellation. On fait l'hypothèse majorante que les sorties de niveaux 1 (vitesses issues d'un calcul ) sont impactées par une panne constellation du maximum de l'impact d'une Prnd_H10 - 1.10-4 Pint_H10 / P_panne_constellation1 Pmd_HO1 - 1.10-4 Pint_HO1 / P_panne_constellation2 panne constellation sur les données de ta consolidation de niveau 2 (vitesses issues d'un calcul mono-constellation) ; cette hypothèse est majorante dans le sens où une panne d'une constellation ne va pas totalement impactée les sorties de vitesses calculées à partir de deux constellations, car ces vitesses sont calculées à moitié » avec des données appartenant à une constellation sans panne. On a : 0-diff 2 2 1 I al _niveau2 _i_ --1- OE2 _ invectu2 S 0-diff .\12.erfc-1(Pfa_niveafl*r) DprotV1 à Dprot V1 niveau 2 = Max (Dprot_VLHOO, Dprot_V1_H10) Avec: Pint_niveau2 2.erfc-1 (Pint_HOO * -c) Dprot_V1_HOO = OEl_nivectu2'r Dprot_V1_H10 = 2 .erfc-1 (Pmd _H10) OEde.b max ,,i',_2, (Pmd _Hl 0) + cr1_niveau2.-T (à 110-4 /h) DprotV2 à Dprot V2 niveau 2 = Max (Dprot_V2_H00, Dprot_V2_H01) Avec: Pint_niveau2 2 .erfc-1 (Pint_HOO*1-) Dprot_V2_H00 = OE2_mreau2:r Dprot_V2_H01 = 2 .erfcH (P int_ HO 1 * r ) .bmax (Pmd H01) ± OE2 _ niveau 2 -NI- (à 110-4 /h) Dprot globale Dprot V2 niveau 2 = Max (Dprot_V1_H00, Dprot_V1_H10, niveau 2 à Dprot_V2_H00, Dprot_V2_H01) Pint_niveau2 Avec : 1 -IP erfc(x) = e dt pfil) 1 1 --(u-b)' f e = Pmd -"\127e b max (Pmd) tel que : Pfa ) : Durée de vol pendant laquelle les taux de probabilité sont définis Le calcul de la distance de protection de sortie peut être alors le suivant. Rayon de protection de sortie = max(rayon de protection niveau 1, rayon de protection niveau 2) = max (0- cons niveaul *-j .erfc-1(Pint niveau 1) (5.1 niveaL2:\II -1 erfc (Pint HOO) 7 b max - (Pmd H10) + o-1 nivecut2"-f i.erfc (P int H10) diff (pfa_niveau2) 62 niverna**erfc-1 (Pint HOO) ig .b max (Pmd H01) +0- 2 niveau 2 .j2 .erfc-1 (P int_ H01) (pfa_niveau2 ) 15 Le procédé selon l'invention ne se limite pas au contrôle d'intégrité de mesures émanant de deux constellations de satellites mais peut bien évidemment être adapté pour contrôler l'intégrité d'un 20 nombre supérieur de constellations. BIBLIOGRAPHIE 1) "An Optimized Multiple Hypothesis RAIM Algorithm for Vertical Guidance" par Juan Blanch, Alex Ene, Todd Walter, Per Enge,200710 2) "GNSS Integrity Monitoring for Two Satellite Faults", par Nathan L. Knight, Jinling Wang, Chris Rizos, Songlai Han,2009 3) "GNSS Receiver Autonomous Integrity Monitoring (RAIM) for Multiple Outliers", par Steve Hewitson, Jinling Wang,2006 4) - Algorithmes de contrôle d'intégrité pour la navigation hybride GNSS et systèmes de navigation inertielle en présence de multiples mesures satellitaires défaillantes », thèse de l'université de Bordeaux, par Frédéric Faurie,2011 5) Demande de brevet WO 2012/013524. 6) Demande de brevet WO 2012/013525. 7) Failure Modes and effects Analysis (FMEA) of GNSS Aviation Applications , Centre for Transport Studies, Dep. of Civil and Environmental Engineering , Imperial College London ( Carl D. Milner and Prof. Washington Y. Ochieng). 8) "Feasibility Analysis of RAIM to Provide LPV-200 Approaches with Future GPS", ION GNSS 2007 (Lee Y. C., et M. P. McLaughlin).

Claims (11)

1. REVENDICATIONS1. Procédé de contrôle d'intégrité de mesures acquises par un système (S) de navigation à partir de signaux de radionavigation émis par une pluralité de constellations (GNSS1, GNSS2) de satellites, le procédé étant caractérisé en ce qu'il comprend: un premier niveau de traitement (Cl) consolidant les données des différentes voies de réception d'au moins deux constellations, et un second niveau de traitement (C2) détectant une panne globale d'au moins une des constellations, et invalidant les sorties consolidées par le premier niveau de traitement lorsqu'une panne globale est détectée.
2. 2. Procédé de contrôle d'intégrité selon la revendication 1, dans lequel le deuxième niveau de traitement (C2) comprend les étapes selon lesquelles: on calcule (INC) au moins une valeur d'écart entre des solutions de navigations mono constellation calculées pour différentes constellations, on détermine (VALIDG), en fonction de la valeur d'écart calculée, une information de validité globale représentative de la présence ou non d'une panne globale sur l'une des constellations.
3. 3. Procédé de contrôle d'intégrité selon la revendication 2, dans lequel la valeur d'écart est comparée (COMP) avec un seuil prédéterminé, l'information de validité globale dépendant du résultat de cette comparaison.
4. 4. Procédé de contrôle d'intégrité selon l'une des revendications 2 ou 3, 30 dans lequel la valeur d'écart est calculée comme une distance entre desvecteurs de données de navigation issus de différentes solutions de navigation de constellation.
5. 5. Procédé de contrôle d'intégrité selon l'une des revendications 2 à 4, dans lequel l'information de validité globale est positionnée à une valeur invalide si la valeur d'écart est supérieure au seuil prédéterminé.
6. 6. Procédé de contrôle d'intégrité selon la revendication 5, dans lequel l'information de validité globale est également positionnée à une valeur 10 invalide si au moins un des vecteurs de données de navigation est déclaré invalide par le premier niveau de traitement.
7. 7. Procédé de contrôle d'intégrité selon l'une des revendications 2 à 6, comprenant en outre les étapes de : 15 - calcul (PROTG) d'une première distance de protection associée à la solution de navigation globale à partir d'une première probabilité de perte d'intégrité prédéterminée, calcul (PROTC), pour chaque solution de navigation de constellation, d'une deuxième distance de protection à partir 20 d'une deuxième probabilité de perte d'intégrité prédéterminée, calcul (PROTS) d'une distance de protection de sortie, définie comme le maximum entre la première distance de protection et la plus grande des deuxièmes distances de protection. 25
8. 8. Procédé de contrôle d'intégrité selon l'une des revendications 1 à 7, dans lequel les mesures acquises comprennent, pour chaque satellite, une pseudo-distance et une pseudo-vitesse, et chaque solution de navigation calculée comprend une donnée de vitesse et une donnée de position estimées pour le système (S). 30
9. 9. Dispositif (D) de contrôle d'intégrité de mesures acquises à partir de signaux de radionavigation émis par une pluralité de constellations(GNSS1, GNSS2) de satellites, te dispositif comprenant deux modules de traitement adaptés pour mettre en oeuvre les deux niveaux de traitement du procédé selon l'une des revendications 1 à 8.
10. 10. Système de navigation (S) comprenant un récepteur (R) configuré pour acquérir des mesures de signaux de radionavigation émis par une pluralité de constellations (GNSS1, GNSS2) de satellites, et un dispositif (D) selon la revendication 9 pour contrôler l'intégrité des mesures acquises par le récepteur (R).
11. 11. Produit programme d'ordinateur comprenant des instructions de code de programme pour l'exécution des étapes du procédé selon l'une des revendications 1 à 8, lorsque ce programme est exécuté par une unité de traitement de données.